Der Auskunftsanspruch nach Art. 15 DSGVO ist das zentrale Instrument für Betroffene, um Transparenz über die Verarbeitung ihrer personenbezogenen Daten zu erhalten. In den letzten Monaten haben mehrere Gerichte, allen voran der Bundesgerichtshof (BGH), wichtige Leitlinien zum Umfang, zu den Grenzen und zur praktischen Umsetzung des Auskunftsanspruchs gesetzt. Wir geben einen Überblick über die aktuellen Entwicklungen und zeigen, was Unternehmen jetzt beachten müssen.
1. Umfang des Auskunftsanspruchs: Was müssen Unternehmen herausgeben?
Der BGH hat im Urteil vom 16.04.2024 (VI ZR 223/21) klargestellt, dass Versicherungsnehmer einen Anspruch auf Auskunft über sämtliche personenbezogenen Daten haben, die sie selbst an ihren Versicherer übermittelt haben – etwa Kündigungsschreiben, Vertragsanfragen oder Gesundheitsangaben. Auch Kopien dieser Dokumente müssen grundsätzlich herausgegeben werden. Schreiben, die der Versicherer an die betroffene Person sendet (z.B. Versicherungsscheine, Abrechnungen), sind jedoch nur dann auskunftspflichtig, wenn sie tatsächlich personenbezogene Informationen enthalten. Reine Geschäftsdaten wie Fondsgewinne oder Verwaltungskosten fallen nicht unter den Auskunftsanspruch.
2. Grenzen des Auskunftsanspruchs: Was ist nicht herauszugeben?
Der BGH hat ebenfalls bekräftigt, dass der Auskunftsanspruch nicht pauschal auf alle Dokumente erstreckt werden kann. Insbesondere besteht kein Anspruch auf die Herausgabe von Begründungsschreiben und Anlagen zu Prämienanpassungen in der privaten Krankenversicherung, sofern diese keine personenbezogenen Daten enthalten. Nur die tatsächlich personenbezogenen Informationen sind herauszugeben, nicht aber allgemeine geschäftliche Unterlagen oder Begründungen.
3. Keine Verjährung und keine Zweckbindung
Das Amtsgericht Chemnitz hat entschieden, dass der Auskunftsanspruch nach Art. 15 DSGVO keiner Verjährung unterliegt. Betroffene können also auch viele Jahre nach einer Datenverarbeitung noch Auskunft verlangen. Zudem ist es unerheblich, zu welchem Zweck die Auskunft begehrt wird – auch eine Nutzung zur Klagevorbereitung ist zulässig. Unternehmen können einen Antrag nicht mit Verweis auf eine mögliche missbräuchliche Nutzung ablehnen.
4. Höchstpersönliches Recht und Missbrauchsgrenze
Das OLG Düsseldorf hat klargestellt, dass der Auskunftsanspruch ein höchstpersönliches Recht ist und nicht auf Dritte übertragen werden kann. Ein Auskunftsbegehren kann zudem als rechtsmissbräuchlich abgelehnt werden, wenn es erkennbar nur zur Vorbereitung wirtschaftlicher Forderungen oder als Druckmittel eingesetzt wird.
5. Schadensersatz nur bei konkretem Nachweis
Das Bundesarbeitsgericht hat die Hürden für Schadensersatzansprüche wegen mangelhafter Auskunftserteilung erhöht: Ein Schaden muss konkret nachgewiesen werden. Allein die Nichterfüllung eines Auskunftsbegehrens reicht nicht aus, um einen immateriellen Schadensersatz zu begründen.
Praxistipps für Unternehmen
- Strukturierte Prozesse: Etablieren Sie klare Abläufe zur Bearbeitung von Auskunftsersuchen und schulen Sie Ihre Mitarbeitenden regelmäßig.
- Präzise Datenverwaltung: Dokumentieren Sie, welche Daten als personenbezogen gelten und grenzen Sie allgemeine Geschäftsdaten sauber ab.
- Self-Service-Lösungen: Prüfen Sie den Einsatz von Online-Formularen oder Portalen, um Anfragen effizient und rechtssicher zu bearbeiten.
- Langfristige Aufbewahrung: Stellen Sie sicher, dass Sie auch auf ältere Anfragen reagieren können – etwa mit einer Negativauskunft, falls keine Daten mehr vorhanden sind.
Die aktuelle Rechtsprechung stärkt die Transparenz für Betroffene, setzt aber auch klare Grenzen für den Auskunftsanspruch. Unternehmen sollten diese Entwicklungen ernst nehmen, um rechtliche Risiken und Bußgelder zu vermeiden und das Vertrauen ihrer Kunden zu stärken